「OpenSSL」にあらたな脆弱性 - アップデートを公開

「OpenSSL」の開発チームは、あらたな脆弱性を発表した。これまでに判明している脆弱性とあわせて修正を行ったセキュリティアップデートを提供している。

現地時間2025年2月11日にセキュリティアドバイザリを公開し、認証におけるエラー処理が適切に行われない脆弱性「CVE-2024-12797」について明らかにしたもの。「Raw Public Keys（RPK）」をサーバやクライアントで有効化している場合に影響を受ける。

未認証であるサーバとのハンドシェイクが本来失敗すべきところ、異常が検出されずに通信が継続し、「TLS」「DTLS」の通信における中間者攻撃（MITM攻撃）のリスクが高まるとしている。

「OpenSSL 3.2」で「RPK」をサポートした際に生じたもので、2024年12月18日に報告を受けた。開発チームでは脆弱性の重要度を、4段階中、上から2番目にあたる「高（High）」とレーティングしている。

開発チームは、脆弱性に対処した「同3.4.1」「同3.3.3」「同3.2.4」をリリースした。「同3.3.3」「同3.2.4」については、先に判明した「CVE-2024-13176」「CVE-2024-9143」についても修正されている。

また今回判明した「CVE-2024-12797」の影響を受けないが、「CVE-2024-13176」や「CVE-2024-9143」へ対処したアップデート「同3.1.8」「同3.0.16」をあわせて公開した。

（Security NEXT - 2025/02/12 ）ツイート